ScTools Outil de personnalisation de carte

Transcription

1 Outil de personnalisation de carte Manuel d installation et de configuration Version Référence :

2 1 SOMMAIRE 1Sommaire Introduction Pré requis Versions du document Glossaire...3 3Installation Composants nécessaires Système d exploitation Procédure d installation Fichiers copiés Registres modifiés Désinstallation de...8 4Configuration MMC de consultation des cartes Extension de la console «Utilisateurs et Ordinateurs AD»...9 5Mise en œuvre MMC de consultation des cartes Extension de la console «Utilisateurs et Ordinateurs AD» Consultation des cartes à puce Présentation générale Choix Information Choix Lecteurs présents et actifs Choix Cartes supportées Extension de personnalisation Présentation générale Fonctionnement Evénements Annuaire LDAP Installation des annuaires Annuaire de configuration Annuaire de la base cartes Configuration de EJBCA Profil d entité finale Modèles de certificats Référence : /31

3 2 INTRODUCTION 2.1 Pré requis Ce document s adresse aux personnes désirant installer la mmc de consultation des cartes ainsi que l extension de personnalisation des cartes. Ces deux composants s installent avec le même setup. Dans la suite du document, il est fait référence aux cartes à puce. Cette dénomination comprend également les clés USB cryptographique. 2.2 Versions du document Version Date Auteur Modification /04/2007 Jérôme DUSAUTOIS Création /04/2007 Jérôme DUSAUTOIS Ajout paramétrage EJBCA /05/2007 Jérôme DUSAUTOIS Ajout paramétrage annuaire LDAP et configuration impression. 2.3 Glossaire CA : Autorité de certification. EJBCA : PKI Open Source en JAVA, basée sur le serveur d applications JBOSS. Carte à puce : Carte plastique respectant la norme 7816 et équipé d un mircoprocesseur cryptographique. Clé USB : Clé USB disposant d un micro-processeur cryptographique. Référence : /31

4 3 INSTALLATION 3.1 Composants nécessaires L installation de nécessite Windows 2003, avec le framework 2.0 pour bénéficier de tous les composants. Le fichier.msi ne contient pas le connecteur EJBCA et ne nécessite pas le framework. Le fichier Ejb.msi est complet (connecteur EJBCA inclus). 3.2 Système d exploitation La mmc de consultation des cartes fonctionne sur Windows XP et Windows L extension de la console d administration «Utilisateurs et ordinateurs Active Directory» fonctionne sur Windows 2003 ou sur une machine XP, si le pack d administration (adminpak.msi) est installé. 3.3 Procédure d installation existe en deux packages d installation : 1..msi : Sans le module de connexion à EJBCA. 2. Ejb.msi : avec le module de connexion à EJBCA. Cette version du package nécessite que le framework 2.0 soit installé sur la machine. Pour démarrer l installation de, lancez le package souhaité. Si la connexion à EJBCA est nécessaire, lancer Ejb.msi. Dans ce cas, si le framework 2.0 n est pas installé, un message vous propose de le télécharger et de l installer automatiquement. La procédure d installation de ce package ne pourra pas continuer tant que le framework 2.0 n est pas installé. Référence : /31

5 Ecran 1 : Programme d'installation 3.4 Fichiers copiés Le programme d installation copie les fichiers suivants : Sctools.dll Fichiers Version Emplacements Composant enfichable de consultation des cartes ScExtPerso.dll Extension de la console Utilisateurs et ordinateurs AD pour la personnalisation Windows\System Windows\System32 Slbiop4.dll (Gemalto) Windows\System32 ScEjbca.dll * Connecteur EJBCA Windows\System32 Interop.XENROLLLib.1.0.dll * Windows\System32 ScExtperso.adm Fichier de configuration pour l édition des GPO Readme.rtf Licence.rtf.msc Console d administration mmc. Perso.exe * Programme de personnalisation indépendant de la MMC. Msg.dll Message du journal d événements..ldf Extension de schéma AD. 23/05/2007 Windows\inf Program Files\Auditiel\Sctools Program Files\Auditiel\Sctools Program Files\Auditiel\Sctools Program Files\Auditiel\Sctools Windows\System32 23/05/2007 Windows\System32 23/05/2007 Program Files\Auditiel\Sctools * : uniquement lors de l installation du package Ejb.msi 3.5 Registres modifiés Le programme d installation ajoute les clés suivantes dans la base de registre. Tous ces registres sont modifiables via l interface de configuration de Windows (cf. ). Référence : /31

6 Clés Description Local machine\software\policies\auditiel\scextperso\ca SelEnrol 0 : Interdit la sélection du certificat de l agent d enrôlement. 1 : Autorise la sélection du certificat de l agent d enrôlement. Local machine\software\policies\auditiel\scextperso\ca\ejbca Name URL AuthentTemplate CipherTemplate SignTemplate Nom de l autorité de certification EJBCA à utiliser. Si ce registre est absent, le choix EJBCA n apparaît pas dans la liste des autorités de certification disponibles. Adresse de connexion au serveur EJBCA. Si ce registre est absent, l adresse est utilisée. Nom du modèle de certificat à utiliser pour les certificats d authentification. Si ce registre est absent, le nom WS_AUTHENT est choisi par défaut. Nom du modèle de certificat à utiliser pour les certificats de chiffrement. Si ce registre est absent, le nom WS_CIPHER est choisi par défaut. Nom du modèle de certificat à utiliser pour les certificats de signature. Si ce registre est absent, le nom WS_SIGN est choisi par défaut. Local machine\software\policies\auditiel\scextperso\perso Param PrePerso PrePersoUsed SelReader 0 : Interdit la modification des paramètres de prépersonnalisation. 1 : Autorise la modification des paramètres de prépersonnalisation. 0 : Interdit la modification du choix de pré-personnalisation des cartes avant l inscription des certificats. 1 : Autorise la modification du choix de prépersonnalisation des cartes avant l inscription des certificats. 0 : Le choix «pré-personnaliser les cartes avant l inscription des certificats» n est pas coché par défaut. 1 : Le choix «pré-personnaliser les cartes avant l inscription des certificats» est coché par défaut. Combiné avec le registre PrePerso, ce registre permet d interdire ou de forcer la pré-personnalisation des cartes. 0 : N autorise pas la sélection du lecteur de carte à utiliser pour personnaliser et inscrire les certificats. 1 : Autorise la sélection du lecteur de carte à utiliser pour Référence : /31

7 SelUser personnaliser et inscrire les certificats. Réservé pour une utilisation future. Local machine\software\policies\auditiel\scextperso\printer Button Conf Enable PrintPerso PrintPersoUsed Recto Verso PrinterDefZone 0 : Les champs non renseignés dans Active Directory ne sont pas remplacés par des boutons. 1 : Les champs non renseignés dans Active Directory sont remplacés par des boutons. La sélection du bouton permet de compléter le champ et, dans certains cas, de renseigner Active Directory. 0 : Le bouton de configuration de l imprimante est désactivé. 1 : Le bouton de configuration de l imprimante est activé. 0 : L impression n est pas autorisée. 1 : L impression est autorisée. 0 : Le choix d imprimer en même temps que la personnalisation électrique de la carte n est pas disponible. 1 : Le choix d imprimer en même temps que la personnalisation électrique de la carte est disponible. 0 : Le choix d imprimer en même temps que la personnalisation électrique n est pas validé par défaut. 1 : Le choix d imprimer en même temps que la personnalisation électrique est validé par défaut. Combiné avec le registre PrintPerso, ce registre permet de forcer l impression en même temps que la personnalisation électrique. 0 : N autorise pas la pré-visualisation et l impression du recto de la carte. 1 : Autorise la pré-visualisation et l impression du recto de la carte. 0 : N autorise pas la pré-visualisation et l impression du verso de la carte. 1 : Autorise la pré-visualisation et l impression du verso de la carte. 0 : Le bouton de définition des zones d impression est inactif. 1 : Le bouton de définition des zones d impression est actif. Registres modifiés par l installateur. Clés Description Référence : /31

8 Local machine\system\currentcontrolset\services\eventlog\application\sctools CategoryCount 4 CategoryMessageFile EventMessageFile ParameterMessageFile TypesSupported 7 Msg.dll Msg.dll Msg.dll Local machine\software\auditiel\scperso * PropSheet 0 : Pas d utilisation de la page de propriété de l extension ScExtPerso pour le programme de personnalisation autonome. 1 : Utilisation de la page de propriété. * : Uniquement si installation de la version Ejb.msi. 3.6 Désinstallation de Utilisez le panneau de configuration. Lancez le programme «Ajout / Suppression de programmes». Rechercher le programme, sélectionnez et cliquez sur Supprimer. Tous les fichiers installés seront effacés du disque. Les registres créés seront supprimés. Référence : /31

9 4 CONFIGURATION 4.1 MMC de consultation des cartes Cette mmc ne nécessite aucune configuration. 4.2 Extension de la console «Utilisateurs et Ordinateurs AD» Cette extension nécessite une configuration. La configuration par défaut autorise toutes les actions de personnalisation. Pour configurer l extension, utilisez la console de gestion des modèles d administration (gpedit.msc). Dans l arbre de gauche, sélectionnez le dossier «Modèles d administration» avec le bouton droit de la souris. Sélectionnez le choix «Toutes les tâches / Ajouter un modèle d administration». Sélectionnez le modèle «ScExtPerso.adm» dans le répertoire Windows\inf. Lorsque le modèle est ajouté, l arborescence Auditiel\ScExtperso apparaît dans les modèles d administration. La modification des paramètres dans ce modèle, entraîne la modification des registres référencés au paragraphe sur les machines concernées par ce modèle d administration. Référence : /31

10 5 MISE EN ŒUVRE Un modèle de console (sctools.msc) est fourni dans le répertoire d installation de. Cette console n est utilisable pleinement que sous Windows Elle reprend les composants enfichables suivants : Consultation des cartes à puce. Certificats de l utilisateur courant. Utilisateurs et ordinateurs Active Directory. 5.1 MMC de consultation des cartes Vous pouvez créer votre propre console en exécutant le programme mmc.exe. Puis, dans le menu Fichier, sélectionnez Ajouter/Supprimer un composant logiciel enfichable. Puis cliquez sur le bouton Ajouter. L écran suivant apparaît. Ecran 2 : Sélection du composant logiciel Consultation des cartes à puce Sélectionnez «Consultation des cartes à puce» puis cliquez sur le bouton Ajouter et sur le bouton Fermer pour fermer cette fenêtre. Enfin, cliquez sur le bouton OK pour quitter l ajout de composants logiciels. Dans l arbre de gauche de la console mmc, apparaît le composant enfichable nouvellement ajouté. Référence : /31

11 5.2 Extension de la console «Utilisateurs et Ordinateurs AD» L utilisation de l extension de personnalisation des cartes à puce du composant logiciel «Utilisateurs et ordinateurs Active Directory» est immédiate. Lancez la console d administration «Utilisateurs et ordinateurs Active Directory». Cliquez deux fois sur l utilisateur pour lequel vous désirez personnaliser une carte. La page des propriétés de l utilisateur apparaît. Remarquez l onglet supplémentaire «Carte à puce». Sélectionnez cet onglet. L écran suivant s affiche : Ecran 3 : Page de propriétés de l utilisateur Jean Dupond Remarque : L écran peut être présenté différemment suivant les options de configuration du modèle d administration (cf. paragraphe ). Référence : /31

12 6 CONSULTATION DES CARTES À PUCE 6.1 Présentation générale Ce composant logiciel permet de consulter l ensemble des cartes connectées à la machine. Ces cartes peuvent être de type carte à puce insérée dans un lecteur, lui-même connecté à la machine. Elles peuvent être également du type clé USB cryptographique directement connecté à la machine. Le dialogue avec le lecteur et la carte à puce s effectue exclusivement au travers des API de Microsoft de gestion des cartes à puce et au travers des CSP (Cryptographic Service Provider) fournis par les fabricants de carte. 6.2 Choix Information Ce choix permet de se connecter directement sur le site d Auditiel, afin d obtenir les dernières informations sur le support. 6.3 Choix Lecteurs présents et actifs Ce choix permet de consulter les propriétés des cartes et des lecteurs connectés. Il permet également de consulter et valider les informations contenues dans les cartes. Lorsque ce choix est sélectionnez, la liste des lecteurs actifs s affiches. Les lecteurs sont barrés d une croix rouge, s ils ne contiennent pas de carte. Si une carte est présente, la sélection du lecteur correspondant permet de lister le contenu de la carte. Cette opération peut prendre plusieurs secondes, suivant la rapidité de la carte et le volume d information à lire Menu contextuel Nouveau Le choix Nouveau du menu contextuel du lecteur permet d ajouter un certificat et une bi-clé dans la carte. Ce choix n est disponible que dans le cas où une carte est présente dans le lecteur. Si la version EJBCA est installée, deux possibilités sont offertes : Nouveau certificat à partir d un fichier PKCS#12 Nouveau certificat à partir d EJBCA Dans le premier cas, la boite de dialogue suivante apparaît : Ecran 4 : Ajout d'un certificat à partir d'un PKCS#12 Référence : /31

13 Entrez le nom du fichier PKCS#12 et le mot de passe de protection. Le bouton OK devient actif. Si les informations sont correctes, le code PIN est demandé, et le container est créé. Vous pouvez choisir le nom du container ou laisser l application en générer un. Dans le cas de l utilisation du connecteur EJBCA, la boite de dialogue suivante apparaît : Ecran 5 : Nouveau certificat à partir d'ejbca Les informations affichées sont des données d exemple. Afin de pouvoir ajouter un certificat à partir d EJBCA, vous devez disposer d un certificat d administration de la PKI EJBCA (reportez vous à la documentation sur EJBCA : EJBCAInstallation.pdf). Le certificat est sélectionné à partir du magasin de l utilisateur courant. Si la case à cocher «Gestion du recouvrement» est validée, la demande de certificat s effectue via une génération de fichier P12 par EJBCA. Dans le cas contraire, la bi-clé est générée par la carte. Seule la clé publique est transmise à EJBCA pour certification Menu contextuel Propriété d un lecteur Le choix de propriété du menu contextuel du lecteur permet d afficher les informations sur la carte et le lecteur. Ce choix n est disponible que si une carte est présente dans le lecteur. Référence : /31

14 Ecran 6 : Propriétés du lecteur Liste des conteneurs d une carte La sélection du lecteur affiche la liste des conteneurs de la carte. Pour chaque conteneur les informations suivantes sont affichées : Ecran 7 : Liste des conteneurs de la carte Container carte : Nom permettant de séparer les certificats dans la carte. Ce nom est, en général, attribué automatiquement par Windows, lors de la création du container. Nom : Nom de l objet dans le certificat. Emetteur : Nom de l émetteur du certificat. Date début : Date de début de validité du certificat. Date fin : Date de fin de validité du certificat. Référence : /31

15 Logon : Oui s il s agit du container par défaut, Non dans les autres cas Propriété d un conteneur La sélection du choix Propriété du menu contextuel d un des conteneurs listés (ou le double clic sur ce conteneur), affiche une boite de propriété de trois écrans. Ecran 8 : Premier écran de propriétés d'un conteneur Ecran 9 : Deuxième écran de propriétés du conteneur Référence : /31

16 Ecran 10 : Troisième écran de propriétés du conteneur Les boutons Importer et Supprimer sont actifs suivant les cas. Il est possible que la case «Certificat dans ce magasin» soit cochée, mais que le bouton Supprimer soit inaccessible. Cela signifie que le certificat est bien dans le magasin, mais que le container associé à ce certificat n est pas celui en cours de consultation. Ceci est possible lorsqu un même certificat est présent dans plusieurs cartes ou plusieurs containers d une même carte. 6.4 Choix Cartes supportées Ce choix permet de lister les CSP installés sur la machine. Il permet de déterminer les cartes susceptibles de fonctionner sur cette machine. Ecran 11 : Listes des cartes supportées. Référence : /31

17 7 EXTENSION DE PERSONNALISATION 7.1 Présentation générale Ce module d extension ajoute un onglet de nom «Carte à puce» à la boite de dialogue d affichage des propriétés d un utilisateur, dans la console d administration «Utilisateurs et ordinateurs Active Directory». Voici un écran de présentation de la page de propriété correspondant à l onglet «Carte à puce». Ecran 12 : Onglet Carte à puce dans les propriétés d'un utilisateur 7.2 Fonctionnement Le rôle de cette page est de permettre la personnalisation d une carte à puce et l inscription d un ou de plusieurs certificats. Les informations de personnalisation sont obtenues d Active Directory. Les traitements suivants peuvent êtres effectués : Référence : /31

18 Pré-personnalisation de la carte, s il s agit d une carte Gemalto Cyberflex (seule carte supportée pour la pré-personnalisation). Enrôlement des certificats d authentification, de chiffrement et de signature. Impression de la carte, si l administrateur dispose d une imprimante spécifique. Impression du code PIN. Sauvegarde des opérations sur les cartes dans une base Pré-personnalisation La pré-personnalisation permet d effacer et de charger l applet dans la carte Cyberflex de Gemalto. Les paramètres de personnalisation peuvent être modifiés en cliquant sur le bouton Paramètres à coté de la case à cocher Pré-personnaliser. Ecran 13 : Paramètres de pré-personnalisation. Ces paramètres doivent être modifiés avant de lancer la personnalisation. Ils sont conservés dans un registre de l utilisateur courant. Les tailles des zones privée et publique sont en octets. Elles doivent être suffisantes pour stocker les bi-clés et les certificats. Le code PIN et le code PUK peuvent être identiques (fixe) pour toutes les cartes, calculés par un algorithme faisant intervenir le numéro de série de la carte, ou aléatoires. Cette dernière possibilité n est autorisée que si une base carte est définie dans les paramètres (de façon à pouvoir débloquer la carte en cas de présentation d un nombre de codes faux trop important). Le nombre de codes PIN faux successifs avant blocage, peut être défini ici. Référence : /31

19 Lors de la personnalisation, si la carte est déjà personnalisée, une confirmation d effacement est demandée. La case à cocher et le bouton de paramètres peuvent être désactivés par GPO (cf. le paragraphe sur la configuration ). Même si le modèle de la carte ne permet pas de la pré-personnaliser avec cet outil, cela n altère pas le fonctionnement pour l enrôlement des certificats Enrôlement des certificats L enrôlement des certificats consiste à inscrire dans la carte, des certificats pour le compte de l utilisateur en cours d édition. Pour réaliser cette opération, l administrateur doit disposer d un certificat d agent d enrôlement. Ce certificat est différent suivant la PKI utilisée. Les informations transmises dans la ou les demandes de certification, sont obtenues à partir d Active Directory. Les champs suivants sont utilisés pour l enrôlement des certificats. Nom de l utilisateur : UPN de l utilisateur tel qu il est inscrit dans Active Directory. Si ce champ n est pas renseigné, l UPN est construit à partir du nom d ouverture de compte et du nom du domaine d appartenance de l utilisateur. Nom de la CA : Choix en liste des CA disponibles. Cette liste est construite à partir des CA Microsoft Certificate Server trouvées dans la forêt et de la CA EJBCA, si les paramètres de configuration indiquent la présence d une telle CA. Certificat d authentification : Choix en liste des modèles de certificats disponibles pour la CA sélectionnée dans la liste Nom de la CA ci-dessus. Dans le cas de Microsoft Certificate Server, la liste est construite à partir des informations obtenues de la CA sélectionnée. La construction de cette liste peut prendre plusieurs secondes suivant la configuration du réseau. Dans le cas d EJBCA, le nom du modèle est déterminé par GPO. Le choix «Pas de certificat» indique de ne pas ajouter de certificat. Certificat de chiffrement : idem ci-dessus, mais pour le certificat de chiffrement. Dans le cas de Microsoft Certificate Server, la génération de la bi-clé de chiffrement est effectuée hors de la carte, de façon à pouvoir transmettre la clé privée à l autorité pour réaliser la fonction de séquestre. Dans le cas d EJBCA, la génération de la bi-clé est confiée à la PKI. Le certificat et la bi-clé sont transmis dans un P12, le tout est inscrit ensuite dans la carte. Certificat de signature : idem ci-dessus. La bi-clé est obligatoirement générée par la carte. Nom du lecteur : Choix en liste du lecteur de carte à utiliser pour personnaliser et enrôler les certificats. Cette liste est construite à partir des lecteurs présents sur la machine. Certificat de l agent d enrôlement : Nom d objet du certificat de l agent d enrôlement à utiliser. Par défaut, le premier certificat dans le magasin de l utilisateur courant dont le rôle est «Agent d enrôlement» est sélectionné. Dans le cas d EJBCA, le certificat d administration ne possède pas obligatoirement le rôle d agent d enrôlement. Le bouton à droite du champ permet de lister les certificats du magasin de l utilisateur courant et de sélectionner le certificat à utiliser. Tous les certificats du magasin peuvent être sélectionné. Par contre, pour Microsoft Certificate Server, seul un certificat avec le rôle d agent d enrôlement peut fonctionner. Référence : /31

20 7.2.3 Bouton de personnalisation Le bouton de personnalisation change de nom en fonction des choix effectués. Tant que les choix ne permettent pas de personnaliser la carte, le bouton affiche le texte «Attente sélection». Si seule la pré-personnalisation est sélectionnée, le bouton affiche «Pré-personnaliser». Si seul un (ou plusieurs) modèle de certificat est sélectionné, le bouton affiche «Enrôler les certificats». Dans ce cas, il faut également qu un certificat d agent d enrôlement soit sélectionné. Enfin, si la pré-personnalisation et l enrôlement sont demandés, le bouton affiche «personnaliser et enrôler». Dans tous les cas, un lecteur doit être sélectionné Bouton de révocation Le bouton «Révoquer les certificats» permet de révoquer l ensemble des certificats contenus dans Active Directory, pour l utilisateur en cours d édition. La révocation est demandée à la CA sélectionné dans le champ Nom de la CA Bouton Gérer la carte Le bouton «Gérer la carte» permet d activer les fonctions de consultation de la carte, déblocage de la carte ou consultation de la base carte. La fenêtre suivante apparaît lorsque ce bouton est sélectionné. Ecran 14 : Fenêtre de gestion de la carte Le bouton «Consulter la carte» active la mmc de consultation des cartes (cf. ). Le bouton «Débloquer» est actif lorsque le code de déblocage est saisi, ainsi que deux fois le même nouveau code PIN. Si la méthode de génération du code PUK à la personnalisation était «Calculé», vous pouvez sélectionner la case correspondante. Dans ce cas, le code PUK ne peut pas être saisi. Si la base carte est active, vous Référence : /31

21 pouvez sélectionner «En base», pour récupérer le code PUK dans la base. Cliquez sur le bouton Débloquer pour débloquer la carte. Si le code PUK est correct, la carte est débloquée et le nouveau code PIN est attribué. Si le code PUK est incorrect, la carte n est pas débloquée. Attention, trop de déblocages incorrects désactive définitivement la carte. Dans tous les cas, un message est enregistré dans le journal d événements. Le bouton «Consulter la base» est actif lorsqu une méthode de consultation est sélectionnée. Les méthodes suivantes sont disponibles : Toutes les opérations sur la carte dans le lecteur. Cette méthode utilise la carte présente dans le lecteur de carte courant pour consulter toutes les opérations, sauvegardées dans la base, concernant cette carte Toutes les opérations sur l utilisateur en cours d édition. Cette méthode liste toutes les cartes pour lesquelles une opération au moins a été réalisée pour le compte de l utilisateur en cours de consultation. La sélection d une carte dans la liste permet de lister les opérations effectuées sur cette carte (y compris les opérations effectuer pour le compte d un autre utilisateur). Toutes les opérations sur toutes les cartes. Cette méthode liste toutes les cartes contenues dans la base. La sélection d une carte dans la liste permet de lister les opérations effectuées sur cette carte. Voici l écran correspondant au listage des opérations réalisées sur la carte dans le lecteur. Ecran 15 : Opération sur la carte dans le lecteur Axalto e-gate Impression graphique L impression des cartes utilise une imprimante spéciale. Cette imprimante est considérée par Windows comme une imprimante classique. La sélection de l imprimante utilise donc les dialogues standard de Windows. Référence : /31

22 La pré-visualisation permet d avoir une image précise du résultat de l impression. L image d une carte à puce pré-découpée est ajoutée à la prévisualisation. Cette image n est pas imprimée. Le bouton de sélection de la face permet de visualiser le recto ou le verso de la carte. Le bouton Imprimer permet de lancer l impression immédiatement. Dans ce cas, aucune information n est enregistrée dans la base carte. La case à cocher «Imprimer en même temps que la personnalisation», permet d effectuer toutes les étapes en une seule manipulation. Ceci n est possible que si l imprimante carte dispose d un connecteur pour la puce. Les images imprimées sont sauvegardées dans la base carte. Le bouton Configurer impression permet de modifier les paramètres de configuration. L écran suivant apparaît. Ecran 16 : Configuration de l'impression Les commandes d avance carte et d éjection carte sont utilisées avec une imprimante spécifique carte. La commande d avance carte est utilisée pour positionner la carte sur le coupleur puce, dans le cas de l impression en même temps que la personnalisation. La commande d éjection carte est utilisée pour éjecter la carte en cas d erreur de personnalisation. Les zones d impression peuvent être définies dans l annuaire LDAP de configuration. Les boutons «Définir les zones d impression» permettent de modifier les informations stockées dans l annuaire LDAP de configuration. Pour l instant, seul la configuration de l impression carte est disponible (l impression du code PIN est figée). Lorsque le bouton de définition des zones d impression est sélectionné, l écran suivant apparaît. Les champs dont le contenu correspond à une information d Active Directory sont renseignés par les informations de l utilisateur en cours d édition. Les modifications apportées à la configuration de l impression sont effectives pour tous les utilisateurs. La sauvegarde des informations n est possible que si l annuaire LDAP de configuration est correctement défini dans les GPO. Référence : /31

23 Ecran 17 : Outils de définition des champs d'impression La position et la taille des champs sont marquées par un trait en pointillés. Ces champs peuvent être dimensionnés ou déplacés par la souris, en maintenant le bouton de gauche enfoncé lors du déplacement. Pour ajouter un champ, il faut maintenir le bouton de gauche de la souris enfoncé et la déplacer. Cette opération ne doit pas avoir lieu sur un champ existant. S il doit y avoir recouvrement de champs, le champ du dessus doit être créé en dernier. Pour supprimer un champ, il faut le déplacer hors de la surface de la carte. Pour modifier les propriétés d un champ, il faut faire un double clic sur le champ concerné. Lors de l ajout d un champ ou de la modification des propriétés d un champ, la fenêtre suivante apparaît. Référence : /31

24 Ecran 18 : Propriétés d'un champ d'impression Les positions et tailles des champs sont indiquées en 1/100 de millimètre. Si aucun champ Active Directory n est utilisé, le texte ou l image peut être renseigné dans le champ correspondant. Lors de l affichage de la représentation d une carte d un utilisateur, si l image comporte des champs Active Directory non renseignés, ces champs sont remplacés par des boutons dont la taille correspond à la celle du champ. La sélection de ces boutons permet de compléter l image et éventuellement de renseigner Active Directory. Cette option peut être désactivée par GPO (cf. ). Ecran 19 : Ajout d'une image à l'impression Référence : /31

25 7.3 Evénements Les catégories d actions suivantes sont enregistrées dans le journal d événements des applications. Personnalisation Enrôlement de certificats Révocation de certificats Impression LDAP. La source des messages est :. On ne peut pas désactiver l enregistrement dans le journal d événements. Les événements suivants sont enregistrés : Personnalisation d une carte. Ajout d un certificat. Suppression et révocation d un certificat. Déblocage carte. Erreur d enregistrement en base carte. Erreur d accès à la base de configuration. Référence : /31